O escaneo en bruto de Nmap falla por VPN pero a conexión -sT funciona?

Unha páxina carga polo túnel mentres un escaneo de portos informa que o host está caído, e o primeiro instinto é que a VPN bloquea algo. Normalmente non bloquea nada novo. As dúas probas piden ao sistema operativo capacidades distintas, e só unha necesita acceso en bruto aos paquetes. Descubre que capacidade fallou antes de tocar o túnel.

Separa a capacidade do túnel

Unha aplicación normal pide ao núcleo abrir unha conexión TCP, e o núcleo fai o handshake sen privilexios especiais. Un escaneo en bruto constrúe os paquetes el mesmo, o que require un socket en bruto ou un controlador de captura segundo a plataforma. Son cuestións de permisos e controladores, e existen haxa ou non unha VPN conectada.

Esta distinción explica a asimetría habitual. curl ten éxito porque a ruta do socket funciona, mentres que o escaneo SYN falla porque o proceso non pode abrir un socket en bruto na interface do túnel. Tamén explica o caso inverso, no que un escaneo en bruto informa filtrado porque a ruta descarta a sonda mentres a ruta da aplicación segue ben.

Ningún dos dous resultados describe o servizo remoto. Ambos describen unha ruta baixo un método, así que mantén o método ligado á conclusión.

Executa a comprobación de conexión nun só host aprobado

Escolle o único host que cobre a túa tarefa e despois usa o modo que non necesita acceso en bruto. O obxectivo do exemplo aquí é 198.51.100.24, espazo de documentación reservado para este tipo de ilustración.

Unha liña, un host, un porto, ningunha fase de descubrimento:

nmap -sT -Pn -p 443 --unprivileged 198.51.100.24

-sT selecciona unha conexión TCP completa, así que exercita a mesma ruta do núcleo que usa unha aplicación e non necesita controlador de captura. -Pn omite o descubrimento de hosts; nmap segue facendo resolución de capa de enlace para obxectivos do segmento local, así que a opción non é unha promesa de tráfico preliminar cero. --unprivileged indica a nmap que asuma que non ten dereitos de paquetes en bruto nin de escoita, o que cambia o método e non concede nada.

Le cada opción como un cambio, non como unha reparación

Trata cada opción como unha afirmación sobre o método. Nin -sT, nin -Pn nin --unprivileged engade unha ruta, abre un cortalumes remoto nin valida un certificado. Un escaneo de conexión tamén completa un handshake real que o servizo rexistra, así que unha comprobación aprobada e un varrido non aprobado vense iguais desde o servidor agás polo alcance e o ritmo. Acumular opcións ata que a saída cambia é como un problema de método se rexistra como un achado de rede.

Cando a saída di pechado, algo respondeu cun reinicio, e iso é un achado distinto do silencio. Cando a saída di filtrado, un dispositivo descartou a sonda ou a súa resposta, e a VPN pode ser incidental. Anota a formulación exacta, porque un veredicto da fase de descubrimento e un fallo a nivel de sonda apuntan a capas distintas.

Se de verdade se require un modo privilexiado, o dono da plataforma decide se se admiten o privilexio, o controlador e a disposición de interfaces. Elevar a mesma invocación non cambia o seu método.

Detente no resultado do transporte e despois proba o servizo

Un handshake completado responde unha pregunta sobre un enderezo, porto, orixe e momento. Non demostra que o backend estea san, porque un balanceador de carga ou un proxy frontal pode aceptar a conexión mentres a aplicación detrás está caída.

Continúa co cliente propio do servizo para que a identidade TLS e o comportamento da aplicación se observen como feitos separados:

openssl s_client -connect 198.51.100.24:443 -servername staging.example.net </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
curl -sS -o /dev/null -w '%{http_code}\n' https://staging.example.net/health

Un costume máis mantén útil o resultado. Anota o comando exacto, o enderezo de orixe que usou e a hora, porque un resultado de transporte sen ese contexto non se pode reproducir nin comparar.

Se o certificado nomea un host que non esperabas, o transporte funcionou e o encamiñamento nunca foi o problema; a falla está no aloxamento virtual ou no DNS. Se o handshake falla, rexistra a cadea de erro local en vez de xeneralizar sobre o túnel. Mantén a nota de alcance xunto ao resultado, porque a seguinte persoa necesita saber que método o produciu.